Automation FOrensics Tool

Lo strumento Automation FOrensics Tool (AFOT) è uno strumento di automazione realizzato in Python e utilizzato per la forensica di Windows al fine di combinare i seguenti strumenti:

• AnalyzePESig (http://didierstevens.com/files/software/AnalyzePESig_V0_0_0_2.zip)
• National Software Reference Library reduced set (http://www.nsrl.nist.gov/RDS/rds_2.52/rds_252m.zip)
• NSRL Tool (http://didierstevens.com/files/software/nsrl_V0_0_2.zip)
• VirusTotal Search Tool (http://didierstevens.com/files/software/virustotal-search_V0_1_2.zip)

Requisiti

Lo script utilizza Python versione 2.7, ma funzionerà molto probabilmente anche con Python 3. Dovrai avere PIP installato nel tuo sistema. Consulta la documentazione di Python per i dettagli.

Dovresti avere una tua chiave API di VirusTotal. Basta creare un account sul sito di VirusTotal e ottenere la chiave API. Quindi aggiungila come valore di __VIRUSTOTALAPIKEY__.

Utilizzo

Esegui semplicemente python afot.py nel tuo terminale.

Procedura

La procedura è piuttosto semplice:

• L'utente fornisce il percorso, che verrà utilizzato per analizzare tutti gli eseguibili inclusi in quelle cartelle/sottocartelle.
• AnalyzePESig cerca eseguibili firmati il cui certificato sarà presto revocato.
• AFOT raccoglierà tutti gli eseguibili non firmati e li incrocerà con il database di hashset di NSRL, utilizzando lo strumento NSRL.
• Ultimo ma non meno importante, se alcuni hash risultano essere anche nel database di hashset di NSRL, incrociamo quegli hash con VirusTotal, utilizzando lo strumento VirusTotal Search.

Contribuire

Consulta CONTRIBUTING per i dettagli.

Licenza

La licenza MIT (MIT). Consulta il File di licenza per maggiori informazioni.